28

Ao implementar um software de faturação online, questionei a empresa responsável se existia a versão REST da API.

A resposta foi que não utilizavam REST devido a segurança, que SOAP seria mais seguro por se tratar de um software que manipula informações financeiras.

Seria essa uma informação verdadeira? Se sim, em que contexto SOAP é mais seguro que REST e vice-versa?

6
  • 2
    Defina seguro..
    – Maniero
    Commented 20/01/2017 às 15:40
  • É provável que a resposta que você obteve tenha a ver com o padrão SOAP ter um "schema" bem definido e cada tag/atributo no XML ter uma função e a implementação de segurança também ter lugar definido na mensagem. Já o REST tem o "corpo" da mensagem livre sem um "schema" obrigatório e a forma de autenticar/autorizar depende mais do programador do que do "Protocolo" escolhido.
    – Pagotti
    Commented 20/01/2017 às 15:52
  • @bigown confiança, garantia, estabilidade... acho que foi esse o contexto em que a empresa respondeu, pelo menos é o que dá a entender. Commented 20/01/2017 às 15:53
  • 5
    Pode haver um monte de diferenças entre REST e SOAP. Mas dizer que SOAP é mais seguro que REST é o que popularmente se chama de lorota, conversa-pra-boi-dormir ou mentira-cabeluda. O que pode sim acontecer é dizer-se que "é mais fácil garantir-se a segurança com SOAP", o que daí pode ser verdade. Commented 20/01/2017 às 18:34
  • 1
    Talvez quem lhe citou segurança estava na verdade se referindo a quebra de caracteres, espaçamentos, etc. É muito comum as pessoas usarem a palavra seguro para se referir a possíveis perdas por "truncar" algo, o que acho um baita erro, pois confunde muito, principalmente em TI.
    – Syzoth
    Commented 26/01/2017 às 18:15

5 Respostas 5

18

Quanto a segurança, vejo apenas uma diferença entre REST e SOAP.

No REST, a segurança é feitas apenas na camada de transporte, seja utilizando SSL ou TSL. O SOAP também lhe dá esta opção.

Porém seguindo a especificação do SOAP, é possível usar WS-Security, neste caso a proteção não é feita a nível de Transporte, mas a mensagem em si será criptografada.

Mas entenda, REST não implementa segurança sobre a mensagem, simplesmente porque a mesma não faz sentido em um ambiente Web, assim como a mesma só lhe dará uma proteção extra apenas em cenários bem específicos.

Se quiser ler mais a respeito, visite o seguinte site.: http://www.topwcftutorials.net/2014/09/transport-level-security-vs-message-level-security-wcf.html

EDIT

Vi muita gente colocando como vantagem do SOAP o fato do mesmo validar a mensagem, é possível fazer o mesmo no REST, seja utilizando um JSON Schema, XML Schema ou até mesmo Protocol Buffer.

1
  • Sobre a validação da mensagem, a diferença crucial entre ambos é a obrigatoriedade da validação das mensagens. Commented 5/05/2018 às 7:01
18

SOAP tem mais burocracia do que REST.

Basicamente a diferença é que no SOAP, todos os tipos de dados tem que estar pré-definidos no contrato da interface - então, a própria camada do SOAP já vai emitir um erro, se for enviada uma lista onde deveria haver uma string (se é que SOAP tem lista).

Em REST, o payload pode ser qualquer JSON - e, eventualmente, uma verificação tem que ser feita na própria aplicação para alguns dos dados que chegam no JSON, sob pena de se ter um mau funcionamento.

Como exemplo concreto justamente isso aconteceu num projeto em que eu estava: o front-end mandou uma lista, onde no backend esperávamos uma string, e isso desencadeava um erro na view.

Mas perceba que se o projeto estivesse sendo feito com testes e documentação apropriados isso não teria acontecido - e também que esse erro em particular não apresentava perigo algum em termos de segurança.
Em geral os frameworks REST permitem que você especifique validação dos campos - isso só não é obrigatório. Com os campos especificados não a diferença em termos de segurança ou confiabilidade da aplicação.

Por outro lado, o peso de especificações de cada view, e os dados redundantes em cada payload SOAP, tornam ele um protocolo bem ruim para trabalhar em quase qualquer quesito. Há muitos outras formas de validar dados além de replicar a especificação do payload para todo lado usando XML.

1
  • 2
    Apenas uma observação: na pratica quem usa REST também usa um payload JSON porque é mais leve, mas não tem essa obrigatoriedade, poderia ser um XML.
    – Pagotti
    Commented 20/01/2017 às 16:05
10

A resposta foi que não utilizavam REST devido a segurança [...] Seria essa uma informação verdadeira?

Não.

A especificação SOAP define apenas um protocolo de troca de dados.

O Consórcio para Interoperabilidade de Serviços Web (WS-I, da sigla em inglês) criou uma especificação chamada WS-I Basic Profile, que sugere a implementação de SOAP sob HTTPS para prover segurança via encriptação.

Entretanto a mesma segurança pode ser utilizada em serviços que utilizam JSON como protocolo de troca de dados.

2

É algo que não faz sentido comparar, simples assim.

O REST define um conjunto de boas práticas que devem ser seguidas quando se faz uma aplicação web. O protocolo usado a nível aplicacional é o HTTP(S). Ele não especifica nem depende de nenhuma forma de representação de dados.

O SOAP é um protocolo de representação de dados. Ele não depende duma forma de transporte, embora seja comum usar TCP/HTTP ou RPC.

Ou seja nada lhe impede de fazer uma aplicação RESTfull em que os dados estão representados em SOAP.

rest - wiki

SOAP - wiki

Uma forma de garantir segurança é usar um protocolo de transporte/aplicacional desenhado para isso, por exemplo o HTTPS.

1

Pelo senso comum, talvez Sim.

Em geral as pessoas tem a sensação de que utilizar SOAP é mais seguro que REST pelos seguintes motivos (IMO):

  • É um formato de mensagem mais antigo.
  • Tem uma série de regras definidas que impede programadores de "reinventar a roda".
  • É bastante utilizado pelos sistemas que usam web services para integração.
  • Tem extensões já definidas no protocolo para tratar a segurança da mensagem.
  • Já existem bibliotecas e exemplos em diversas linguagens de programação.

Já o REST não é um protocolo, é uma espécie de "estilo arquitetural" de trocar mensagens que não define como vai ser o conteúdo da mensagem. Você pode inclusive colocar todo o XML do SOAP dentre do corpo de uma mensagem REST. =)

Por esse motivo, ele se tornou mais leve e menos complicado para implementar e isso faz a sua adoção mais fácil no caso de um novo sistema. A obrigação do XML no SOAP faz com que ele fique "pesado" porque você acaba carregado mais controle do que dado, dependendo da mensagem. Por ter mais "controle", fica essa impressão de ser mais confiável. Por ser assim, o fato de você dizer que seu sistema usa REST, pelo senso comum, não traz confiabilidade. Você precisa agregar outras tecnologias no seu discurso para convencer as pessoas.

Mas, por exemplo, se você é o desenvolvedor das duas pontas das mensagens, você não é obrigado a adicionar a extensão de segurança do SOAP quando utilizar o protocolo, ou seja, você pode usar SOAP sem nenhuma camada de segurança e mesmo assim é provável que o senso comum das pessoas vai fazer com que não te questionem sobre isso.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .